每日安全简讯(20180901)

1 Cobalt Group发起针对金融机构的新活动

安全厂商Arbor Networks的研究团队发现，黑客组织Cobalt（亦称Carbanak、Fin 7）在8月开展了针对俄罗斯的NS银行和罗马尼亚的Carpatica商业银的鱼叉式钓鱼活动。Cobalt组织以金融机构为目标，至少自2016年起开始积极活动。欧洲刑警组织认为，Cobalt与全球不下100起银行攻击相关，已盗取大约10亿欧元。虽然该组织头目于今年初在西班牙被捕，8月初又有3名高级成员在美国被捕，然而其活动显然未停止。
分析显示，这一波攻击活动沿用了Cobalt组织已知的TTP和基础设施--仿冒来自与目标银行有业务关系的金融机构的邮件，对银行员工进行鱼叉式钓鱼，投放恶意载荷。不过技术上也有一些变化：部分钓鱼邮件包含两个独立的恶意URL，分别指向恶意Word文档和带.jpg扩展名的二进制文件。针对NS银行的钓鱼邮件中，Word文档中包含VBA脚本，用于下载并执行一个JavaScript后门，其功能与Cobalt组织另一款软件类似；而伪装为jpg图像的二进制文件实际上是侦察后门软件CobInt/COOLPANTS 的变体，早前曾在Cobalt控制的C&C服务器中发现过。在针对罗马尼亚银行的钓鱼邮件中，载荷的PDB中包含与来自Cobalt组织相关域的样本相同的字符串。



https://asert.arbornetworks.com/ ... ion-double-the-fun/

---

2 秘鲁银行受比特币投资主题钓鱼邮件攻击

趋势科技对秘鲁银行遭受到的网络攻击进行观察，攻击者利用比特币广告链接作为诱饵开展网络钓鱼攻击活动，链接指向恶意域名，访问后，根据用户的IP位置，浏览器和操作系统将受害者重定向到不同的URL。除秘鲁外，泰国，马来西亚，印度尼西亚，美国以及其它欧洲和亚洲国家也遭受到了此攻击。研究人员称这可能是一场广泛的活动，还有待进一步观察。


https://www.trendmicro.com/vinfo ... ertisements-as-lure

---

3 厂商发布RansomWarrior勒索软件解密工具

Check Point Research团队对近日被Malware Hunter团队发现的新勒索软件RansomWarrior进行了分析。该勒索软件似乎是由印度黑客进行开发，使用.net编写，可执行文件本身没有进行混淆，打包或以其它方式保护，说明背后的开发者可能是不太有经验的较新的组织。RansomWarrior使用一种流密码进行加密，使用其二进制代码中的1000个硬编码密钥列表中随机选择的密钥。Check Point研究人员提取并分析了这些密钥，并提供解密工具RansomWarrior_Decryption_Tool和其操作步骤。


https://research.checkpoint.com/ransom-warrior-decryption-tool/

---

4 挖矿工具Hidden Bee被发现复杂恶意载荷

Malwarebytes实验室对挖矿工具Hidden Bee进行分析时，发现有两个被释放的载荷没有遵循PE格式，而且比shellcode更复杂。研究人员对此分析发现，此恶意软件攻击者按照一致的结构创建属于自己的可执行格式。两个载荷分别为.wasm和.sdb为扩展名的文件，文件从标头开始而不是代码，出口处相同DLL分配了不同的编号，重定位表由DWORD列表组成。研究人员通过创建一个可以将哈希解析为函数名，并生成一个TAG文件来标记每个函数地址将被填充的偏移量的工具，对此代码加载到IDA进行分析，这些载荷作为完整恶意软件包下载其它部分并将其注入进程的第一阶段，此种自定义格式比完全成熟的PE更简单，比典型的shellcode更进一步但不能自给自足。


https://blog.malwarebytes.com/th ... idden-bee-elements/

---

5 攻击者利用微软WMIC接口下载恶意文件

赛门铁克最近观察到攻击者使用WMIC和许多其它合法工具来提供窃取信息的恶意软件。恶意软件开发者使用所有Windows计算机上的工具，与修改和呈现XML文档相关的通常无害的文件类型的组合，以被用作多级感染链的一部分，提供模块化的信息窃取威胁。攻击链从URL传递包含从远程服务器下载文件的WMIC命令的.lnk文件开始，收件人点击后将下载包含使用mshta.exe执行的JavaScript的恶意XSL文件，通过随机端口号创建URL下载包含radador函数和三个DLL的HTA文件，最后下载带有位XOR加密模块的信息窃取器。攻击者使用WMIC和合法的双重用途工具，减少了恶意活动被发现的可能性。


https://www.symantec.com/blogs/t ... ic-download-malware

---

6 安卓漏洞致敏感数据通过WI-FI广播暴露

安全厂商NIGHTWATCH发现Android OS存在漏洞，该漏洞被追踪为CVE-2018-9489。Android OS的系统广播将有关用户设备的信息暴露给设备上运行的所有应用程序。这包括Wi-Fi网络名称，BSSID，本地IP地址，DNS服务器信息和MAC地址。通过监听这些广播，设备上的任何应用程序都可以捕获此信息，从而绕过任何权限检查和现有缓解措施。由于MAC地址不会更改并且与硬件绑定，因此即使使用MAC地址随机化，也可以使用它来唯一地识别和跟踪任何Android设备。网络名称和BSSID 可用于通过查找BSSID数据库来对用户进行地理定位。恶意应用程序可以使用其它网络信息来进一步探索和攻击本地Wi-Fi网络。所有设备上运行的所有Android版本都会受到影响，包括分叉的版本（例如亚马逊的Kindle FireOS）。供应商谷歌在Android P / 9中修复了这些问题，但不打算修复旧版本。建议用户升级到Android P / 9或更高版本。


https://wwws.nightwatchcybersecu ... d-os-cve-2018-9489/

---